GWTP 防止 XSRF 攻击

Question

我正在使用 GWT 和 GWTP 开发 Web 应用程序。我查看了 wiki page of GWTP并按照说明进行 XSRF 攻击防护。它在 Dev 模式下运行正常。

现在我将它部署到 Tomcat 服务器上。但是在控制台中，它一直告诉我 RPC 中没有客户端发送的 cookie。结果是没有 RPC 调用能够执行，因为它被认为是 XSRF 攻击。

谁能告诉我这是怎么回事？是不是因为 Tomcat 设置，因为应用程序在开发模式下运行正常。

Answer 1

我认为这不是来自 GWTP，它与您的 Tomcat 有关

The session and SSO cookies in Tomcat 7 are being sent with HttpOnly flag by default, to instruct browsers to prevent access to those cookies from JavaScript. (This can be enabled in Tomcat 6.0 and 5.5 by setting useHttpOnly="true" on Context element in a web application or in the global CATALINA_BASE/conf/context.xml file). http://tomcat.apache.org/migration.html#Session_cookie_configuration

所以，检查你的 context.xml 是否是这样的:

  <Context cookies="true" useHttpOnly="false" >
    <WatchedResource>WEB-INF/web.xml</WatchedResource>
    </Context>

Should the HttpOnly flag be set on session cookies to prevent client side script from accessing the session ID? Defaults to true.

更多关于 Context Attributes